Guillermo Rauch @rauchg

太兴奋了。 我们正在推出一项机制，即使在 Binance 式的攻击中——你的工程师被信息窃取恶意软件盯上——也能保护 Vercel 客户。 借助 DBSC，续期会话需要一把绑定到你设备的密钥，这意味着被盗的 cookie 实际上无法从远程命令与控制（C2）基础设施中被重复使用。 虽然这是个相当大的胜利，但安全领域没有银弹。请确保你的 Vercel 账户已启用 MFA（基于应用的 TOTP 和通行密钥都要），你的组织已启用 SAML / 目录同步，你的终端受到保护，等等。 （并且保持偏执！） [引用 @cramforce]: 今天我们开始在 vercel.com 上推出设备绑定会话凭证（DBSC）。 DBSC 让从设备上窃取会话 cookie 变得不可能。所以，如果你安装了信息窃取恶意软件（例如通过供应链攻击），该恶意软件也无法窃取你的 vercel.com 会话。 恶意软件在设备上驻留期间仍然可以做坏事。但我们在实践中看到的滥用是分开的……